摘要
1 BERSHAD，B.，SAVAGE，S.，PARDYAK，P.，SIRER，E.G.，BECKER，D.，FIUCZYNSKI，M.，CHAM-BERS，C.，AND EGGEaS，S.SPIN操作系统中的可扩展性、安全性和性能。 操作系统原理研讨会（1995年12月），第267-284页。]] 谷歌学者 
数字图书馆 
2 BOYER，R.S.和YU，Y.为广泛使用的微处理器自动验证目标代码。 J.A CM 43，1（1996年1月），166-192。]] 谷歌学者 数字图书馆 三。 CLUTTERBUCK，D.和CARRIS.，S.低级代码的验证。 IEEE软件工程杂志3，3（1988年5月），97-111。]] 谷歌学者 数字图书馆 4 FLOYD，It.W.为程序指定含义。 《计算机科学的数学方面》，J.T.Schwartz主编，美国数学学会，1967年，第19-32页。]] 谷歌学者 5 HARPER，R.、HONSELL，F.和PLOTKIN，G.定义逻辑的框架。 计算机协会杂志40，1（1993年1月），143-184。]] 谷歌学者 数字图书馆 6 MCCANNE，S.和JACOBSON，V.BSD包过滤器：用于用户级包捕获的新架构。 《1993年冬季USENIX会议》（1993年1月），USENIX-协会，第259-269页。]] 谷歌学者 数字图书馆 7 MILLER，D.、NADATHUR，G.、PFENNING，F.和SCEDROV，A.统一证明是逻辑编程的基础。 《纯粹与应用逻辑年鉴》51（1991），125-157。]] 谷歌学者 交叉引用 
8 MILNER，R.、TOFTE，M.和HARPER，R.《ML标准定义》麻省理工学院出版社，马萨诸塞州剑桥，1990年。]] 谷歌学者 数字图书馆 9 MOGUL，J.C.、RASHID，It.F.和ACCETTA，M.J.包过滤器：用户级网络代码的有效机制。 《操作系统原理CM研讨会》（1987年11月），ACM出版社，第39-51页。 更新版本作为DEC WRL研究报告87/2提供。]] 谷歌学者 数字图书馆 10 NECULA，G.C.和LEE，P.携带代码的证明。 技术报告CMU-CS-96-165，卡内基梅隆大学计算机科学系，1996年9月。 另见FOX备忘录CMU-CS-FOX-96-03。]] 谷歌学者 11 NECULA，G.C.和LEE，P.《无运行时检查的安全内核扩展》，第二届操作系统设计与实现研讨会（1996年10月），Usenix。]] 谷歌学者 数字图书馆 12 PFENNING，F.Elf：一种用于逻辑定义和验证元程序设计的语言。 在第四届计算机科学逻辑年度研讨会（加利福尼亚州太平洋格罗夫，1989年6月）上，IEEE计算机社会出版社，第313-322页。]] 谷歌学者 数字图书馆 13 ROUAIX，F.运河中带applet的Web导航器。 第五届国际万维网会议论文集，计算机网络和电信网络#8，7-11（1996年5月），1365-1371。]] 谷歌学者 数字图书馆 14 SITES，R.L.阿尔法建筑参考手册，数字出版社，1992年。]] 谷歌学者 数字图书馆 15 TARDITI，D.，MORRISETT，J.G.，CHENG，P.，STONE，C.，HARPER，R.，AND LEE，P.TIL:ML的一种类型定向优化编译器。PLDI’96编程语言设计与实现会议（1996年5月），第181-192页。]] 谷歌学者 数字图书馆 16 WAHBE，R.、LUCCO，S.、ANDEaSON，T.E.和GRAHAM，S.L.《高效的基于软件的故障隔离》，第14届操作系统原理研讨会（1993年12月），ACM，第203-216页。]] 谷歌学者 数字图书馆
索引术语
证明携带代码
建议
模型关联代码：一种安全执行不受信任应用程序的实用方法 SOSP’03：第十九届ACM操作系统原理研讨会会议记录 本文提出了一种新的方法，称为 模型关联代码 （MCC）用于安全执行不受信任的代码。 MCC的核心思想是，不受信任的代码配备了其安全相关行为的简明高级模型。 此模型。。。 具有不可信证明规则的证明码 ISSS’02：2002年Mext-NSF-JSPS软件安全国际会议论文集：理论和系统 防错代码（PCC）允许代码生成器将程序的安全性的机器可检查证明关联到程序。 在PCC的传统实现中，生产者事先以未指定的方式与消费者协商许可。。。
